L'esfiltrazione da SaaS è la copia o il download non autorizzato di dati da piattaforme software-as-a-service come email, condivisione file, CRM, ticketing o strumenti di collaborazione. Poiché questi servizi archiviano record aziendali critici nel cloud, un singolo account compromesso o un token di sessione rubato può offrire a un attaccante un accesso ampio senza distribuire malware sugli endpoint.
Questo è importante perché le intrusioni moderne spesso sembrano attività utente normali: accessi da località non familiari, download massivi di file, esportazioni di caselle di posta, estrazioni tramite API o modifiche alle condivisioni che espongono cartelle private. I difensori cercano questi schemi con log di audit, rilevamento delle anomalie, accesso con privilegi minimi, MFA resistente al phishing e avvisi per comportamenti di esportazione in blocco. In pratica, l'esfiltrazione da SaaS è una fase finale comune degli attacchi basati sull'identità, in cui l'attaccante usa credenziali valide per rimuovere silenziosamente i dati prima che qualcuno se ne accorga.